Savunmasız Docker hizmetlerini hedefleyen yeni bir kampanya, bir XMRIG madenci ve 9HITS Viewer uygulamasını tehlikeye atılmış ana bilgisayarlara dağıtıyor ve çift para kazanma stratejisine izin veriyor.
9HITS, üyelerin birbirlerinin sitelerine trafik çekebileceği bir web trafik değişim platformudur.
Bu trafik, diğer üyeler tarafından talep edilen web sitelerini ziyaret etmek için başsız bir krom örneği kullanan üyelerin cihazlarına yüklenen bir 9hits görüntüleyici uygulaması tarafından oluşturulur. Buna karşılık, bu kullanıcılar kendi sitelerine trafik ödemek için kullanılabilecek kredi kazanırlar.
CADO Security tarafından keşfedilen bir kampanyada, saldırganlar 9hits trafik değişim sisteminin bir parçası olarak trafiği artırmak için bu sistemlerin kaynaklarından yararlanarak, kendileri için kredi oluşturmak için 9hits izleyici uygulamasını uzatılmış Docker ana bilgisayarlarına dağıtıyorlar.
BleepingComputer ile paylaşılan CADO Security'nin bir raporunu açıklıyor. "Bu, 9HITS uygulamasını yük olarak dağıtan ilk belgelenmiş kötü amaçlı yazılım durumudur."
Tehdit aktörlerinin nasıl ihlal edilecek sistemler bulduğu açık olmasa da, Cado saldırganların korunmasız sunucuları keşfetmek ve Docker API'sı aracılığıyla kötü amaçlı kapları dağıtmak için onları ihlal etmek için Shodan gibi bir ağ tarama ürünü kullandığına inanıyor.
Konteynerler, şüpheyi azaltmak için Dockerhub'dan kaynaklanan görüntülerde. Cado'nun Docker Honeypot'ta yakalanan serpme komut dosyası, Docker_Host değişkenini ayarlamak için Docker'ın CLI'sini kullanır ve kapları çekmek ve çalıştırmak için tipik API çağrıları kullanır.
9hits konteyneri, bir oturum jetonu ile bir komut dosyası (nh.sh) çalıştırır ve bir web sitesi listesini ziyaret ederek saldırgan için kimlik doğrulamasına ve kredi oluşturmasına izin verir.
Oturum token sistemi, güvenilmeyen ortamlarda bile güvenli bir şekilde çalışacak şekilde tasarlanmıştır, bu da saldırganın yasaklanmadan kar elde etmesini sağlar.
Saldırganlar, 9HITS uygulaması için açılır pencerelere izin vermek veya yetişkin sitelerini ziyaret etmek ancak kripto para birimi ile ilgili sitelere izin vermek gibi özel argümanlar belirlediler.
Diğer konteyner, bulut sisteminin kaynaklarını kullanarak saldırgan için Monero kripto para madenciliği yapan bir Xmrig madenci çalıştırır.
Madenci özel bir madencilik havuzuna bağlanır ve kampanyanın ölçeğini veya kârını izlemeyi imkansız hale getirir. CADO, madencilik havuzu için kullanılan alanın saldırganın kontrolü korumak için dinamik DNS hizmetlerini kullanabileceğini gösterdiğini belirtiyor.
"Bu kampanyanın tehlikeye atılan ana bilgisayarlar üzerindeki ana etkisi kaynak tükenmesidir, çünkü XMRIG madenci mümkün olan tüm CPU kaynaklarını kullanacaktır, 9hits büyük miktarda bant genişliği, bellek ve ne kadar küçük CPU kalacak" diyor Cado Security rapor.
Diyerek şöyle devam etti: "Bunun sonucu, enfekte sunucular üzerindeki meşru iş yüklerinin beklendiği gibi performans gösteremeyeceğidir."
CADO tarafından keşfedilen kampanya, tehdit aktörlerinin sürekli olarak alternatif para kazanma kanallarını kriptominasyon, saldırılarını çeşitlendirme ve daha gizli caddeler izlemesi gibi geleneksel yöntemlerin ötesinde araştırdığını gösteriyor.
9hits gibi tehdit aktörleri tarafından istismar edilen platformlar, uygulamalarının kuruluşlarda finansal hasara ve bozulmaya neden olabilecek yetkisiz kullanımını önlemek için daha katı güvenlik kontrollerine ve politikalarına ihtiyaç duyar.
Bulut bilişim ortamlarına yatırım yapan varlıklar, karmaşık bir manzarada gezinmek için çağrılır.
Bunu başarmak, görünürlüğü artırmak, konfigürasyonları yönetmek ve maruz kalan varlıkları korumak için sıfır tröst modellerinin, bulut iş yükü koruma platformlarının (CWPP) ve bulut güvenlik duruş yönetimi (CSPM) kullanılması gerekir.
Hacker, Kriptoyu Yasadışı Mine etmek için 1 milyon sanal sunucuyu döndürüyor
Servis Sağlayıcıda Cyberattack'ten sonra çevrimiçi müze koleksiyonları
Ubiquiti kullanıcıları başkalarının unifi yönlendiricilerine erişebildiğini, kameralara rapor
Google, silinen Google Drive dosyaları için "Düzeltme" paylaşıyor
Bilgisayar korsanları kritik owncloud kusurundan yararlanmaya başlar, şimdi yama
Kaynak: Bleeping Computer